RSA模不互素攻击：从CTF到真实世界的密钥安全启示
当两个不同的RSA模数意外共享同一个素数因子时，整个加密体系会像多米诺骨牌般崩塌。这种现象在CTF竞赛中被称为"模不互素攻击"，而在真实世界则可能意味着灾难性的安全漏洞。让我们从一道羊城杯CTF题目出发，穿透表象看本质。
1. 模不互素攻击的数学本质
RSA加密的安全性建立在"大整数分解难题"之上——给定一个由两个大素数p和q相乘得到的n，在不知道p或q的情况下，从n反推这两个素数是计算不可行的。但当两个不同的n共享同一个素数时，这个前提就被彻底打破了。
关键数学原理 ：
- 设n₁ = p₁ × q，n₂ = p₂ × q
- 计算gcd(n₁, n₂) = q（最大公约数）
- 一旦q被获取，p₁ = n₁/q，p₂ = n₂/q
from math import gcd
n1 = 103835296409081751860770535514746586815395898427260334325680313648369132661057840680823295512236948953370895568419721331170834557812541468309298819497267746892814583806423027167382825479157951365823085639078738847647634406841331307035593810712914545347201619004253602692127370265833092082543067153606828049061
n2 = 115383198584677147487556014336448310721853841168758012445634182814180314480501828927160071015197089456042472185850893847370481817325868824076245290735749717384769661698895000176441497242371873981353689607711146852891551491168528799814311992471449640014501858763495472267168224015665906627382490565507927272073
shared_prime = gcd(n1, n2) # 返回共享的素数q
这个看似简单的数学事实，在密码学实践中却可能引发连锁反应。与常见的"共模攻击"（多个加密使用相同模数）不同，模不互素攻击的隐蔽性更强，因为它涉及的是不同密钥对之间的潜在关联。
2. CTF中的典型攻击场景分析
以羊城杯2021的Bigrsa题目为例，攻击流程可分为三个关键阶段：
-
识别特征阶段 ：
- 题目给出两个大模数n₁和n₂
- 观察两者位数相同（均为1024位左右）
- 初步判断可能存在素数共享
-
核心攻击阶段 ：
- 计算gcd(n₁, n₂)获取共享素数q
- 分别分解出p₁ = n₁/q，p₂ = n₂/q
- 重建两个密钥对的私钥参数
q = gcd(n1, n2)
p1 = n1 // q
p2 = n2 // q
phi1 = (p1-1)*(q-1) # 计算欧拉函数
phi2 = (p2-1)*(q-1)
d1 = pow(e, -1, phi1) # 计算私钥指数
d2 = pow(e, -1, phi2)
-
解密阶段
：
- 题目采用双重加密：c = pow(pow(m, e, n1), e, n2)
-
需要按加密顺序逆向解密：
m_intermediate = pow(c, d2, n2) # 解密第二层 m_original = pow(m_intermediate, d1, n1) # 解密第一层 print(long_to_bytes(m_original))
攻击效率对比表 ：
| 攻击类型 | 计算复杂度 | 所需条件 | 典型应用场景 |
|---|---|---|---|
| 暴力分解 | O(√n) | 单一模数n | 小素数场景 |
| 共模攻击 | O(log e) | 相同n，不同e | 错误配置 |
| 模不互素 | O(log n) | 两个相关n | 密钥生成缺陷 |
3. 从CTF到现实：密钥生成的隐患溯源
当在实际系统中发现模不互素现象时，背后往往隐藏着更深层次的问题。以下是三种可能的根本原因：
1. 伪随机数生成器(PRNG)缺陷 ：
- 使用时间戳等可预测值作为种子
- 状态空间不足导致输出重复
- 典型案例：2012年研究发现某厂商路由器中0.4%的RSA密钥共享素数
2. 实现逻辑错误 ：
- 素数生成后未正确清除内存
- 多线程环境下资源竞争导致重复使用
- 缓存机制意外重用部分随机数
3. 故意后门设计 ：
- 恶意选择相关素数
- 通过隐蔽通道传递种子信息
- 保留特殊关系以便后续破解
实际审计建议：检查密钥对的gcd值应成为标准安全审计流程的一部分，特别是批量生成的密钥对。
4. 防御实践与密钥生成最佳方案
要彻底杜绝模不互素风险，需要从算法实现和系统设计两个层面构建防御：
密码库选择标准 ：
- 使用经过严格审计的开源实现（如OpenSSL, Libsodium）
- 验证其采用的随机数生成方案（如getrandom()而非/dev/urandom）
- 检查是否包含交叉验证机制
增强型密钥生成流程 ：
- 选择素数候选p
- 验证gcd(p, 其他已知素数集合) == 1
- 对通过验证的p执行Miller-Rabin测试
- 生成q时重复相同验证流程
# 增强型素数生成伪代码
def generate_secure_prime(existing_primes):
while True:
candidate = generate_large_prime_candidate()
if all(gcd(candidate, p) == 1 for p in existing_primes):
if miller_rabin_test(candidate):
return candidate
企业级密钥管理策略 ：
- 建立全局素数数据库，避免重复
- 实施密钥生命周期管理
- 定期执行交叉gcd检查
- 采用分层加密体系
在参加CTF竞赛时，遇到模不互素题目不妨多思考一步：如果这是真实系统，攻击者能利用这个漏洞做什么？系统管理员又该如何预防？这种从解题到治本的思维转变，正是安全研究者与普通选手的分水岭。
3359
扫一扫
被折叠的 条评论
为什么被折叠?
到【灌水乐园】发言
